Ինչու է cryptoapicert-ը ձախողվում OpenVPN 3-ում և Connect-ում Windows-ում

Դուք պատճենում եք աշխատող OpenVPN 2 պրոֆիլը ավելի նոր Windows-հաճախորդի մեջ, և վկայականը, որը հին հաճախորդը ինքն էր գտնում, այլևս չի առաջարկվում։ Այն տողը, որ դա հնարավոր էր դարձնում, Windows-ին հատուկ ընտրիչ է, որը պատկանում է Community 2 հաճախորդին, իսկ ավելի նոր ծրագիրը այլ ծրագիր է՝ այլ հավատարմագրերի ուղիով։ Պրոֆիլը անփոփոխ է, բացի այդ մեկ տողից, և հենց դա է դժվարացնում տարբերությունը տեսնելը։

Այդ զեկույցում խառնվում են երեք շերտեր՝ Community հաճախորդը, միջուկային գրադարանը և ճակատային մասը, որը ինչ-որ մեկը տեղադրել է։ Դրանցից միայն մեկն է երբևէ հասկացել հրահանգը։

Ինչ է նշանակում տարբերակը այնտեղ, որտեղ այն կա

Windows-ի Community OpenVPN 2 հաճախորդում cryptoapicert նշում է վկայական, որը հաճախորդը պետք է գտնի Windows-ի վկայականների պահոցում, այլ ոչ թե ֆայլում։ Սա Windows-ին հատուկ հարմարավետություն է, և այն աշխատում է, որովհետև այդ հաճախորդը գիտի, թե ինչպես թվարկել պահոցը և ստացված բանալին հանձնել իր TLS կույտին։ Ուստի հրահանգը այդ հաճախորդի կարգավորման լեզվի մասն է, ոչ թե OpenVPN արձանագրության հատկություն։ Փոխանցման ձևաչափում ոչինչ այն չի կրում։

Պատճենեք նույն տողը մեկ այլ ծրագրում և դուք պատճենել եք բառ, որը նոր ծրագիրը կարող է վերլուծել, անտեսել կամ մերժել։ Հրահանգը արձանագրության հատկանիշ չէ, և սա նույնիսկ OpenVPN խոսող ամեն հաճախորդի հատկանիշը չէ։

Ինչ է փոխարենը տրամադրում միջուկային գրադարանը

OpenVPN 3 Core-ը գրադարան է, որը ներկառուցում են այլ ծրագրեր, և այն արտաքին հավատարմագրերը կառավարում է API-ի միջոցով, ոչ թե պահոցում որոնումով։ Ներկառուցող ծրագիրը տրամադրում է վկայականների շղթա և ավելի ուշ խնդրում գրադարանին ստորագրել արտաքին բանալիով, իսկ գրադարանը դրա համար հետ է կանչում ծրագրին։ Սա ավելի ընդհանուր ձևավորում է, և նշանակում է, որ ճակատային մասն է որոշում՝ որ մատակարարներ գոյություն ունեն։ Գրադարանի սեփական տարբերակների մշակման մեջ cryptoapicert հայտնվում է չիրականացված հրահանգների շարքում, ինչը համահունչ է պատասխանատվության այդ բաժանմանը։

Այդ հետկանչների գոյությունը չի նշանակում, որ տվյալ փաթեթավորված ծրագիրը թվարկում է ընթացիկ օգտատիրոջ անձնական պահոցը, աջակցում է որոշակի բանալիների մատակարարի կամ կարող է ավարտին հասցնել խելացի քարտի հարցումը։ Դրանք ճակատային մասի հատկություններ են, և դրանցից յուրաքանչյուրը պետք է փաստաթղթավորվի ճակատային մասի կողմից։

Ինչ է փոխարենը անում Windows-ի ճակատային մասը

OpenVPN Connect-ը գնում է այլ ճանապարհով՝ օպերատորը ներմուծում է PKCS#12 ֆայլ, որը պարունակում է վկայականն ու դրա գաղտնի բանալին, այդ նպատակով ստեղծված OpenVPN Certificate Store, ապա արտաքին վկայականը վերագրում է պրոֆիլին։ Սա դիտավորյալ ներմուծման քայլ է, ոչ թե անձնական պահոցում պատահաբար եղածի ինքնաշխատ հայտնաբերում։ Տարբերությունը կարևոր է, երբ ինչ-որ մեկը ենթադրում է, որ այլ նպատակի համար տեղադրված վկայականը պարզապես կհայտնվի հաճախորդի ցանկում։

Ներմուծումը հետևանք ունի նաև բանալիների քաղաքականության համար, որովհետև բանալին P12 ֆայլ արտահանելը հենց այն է, ինչ չարտահանվող բանալին նախատեսված է կանխելու։ Սա կարգավորման հարց չէ, այլ քաղաքականության, և պատասխան արժանի է նախքան ինչ-որ մեկը կփորձի ներմուծումը։

Ընտրեք ուղի, որը համապատասխանում է բանալու քաղաքականությանը

Եթե հավատարմագիրը արտահանելի է և քաղաքականությունը թույլ է տալիս փաստաթղթավորված ներմուծումը, օգտագործեք կազմակերպության պաշտպանված գրանցման գործընթացը և ժամանակավոր P12-ը և դրա գաղտնաբառը պահեք մատյաններից ու սկրիպտներից դուրս։ Եթե բանալին երբեք չպետք է թողնի խելացի քարտը կամ պաշտպանված մատակարարին, ընտրեք հաճախորդի և մատակարարի այնպիսի համակցություն, որը բացահայտորեն աջակցում է այդ պահանջին, կամ ստացեք մատակարարի հաստատումը ձեր տեղադրած տարբերակի համար։ Ճյուղերից ոչ մեկը մյուսի փոխարինումը չէ։

Հրահանգը պրոֆիլին վերադարձնելը չի կարող տրամադրել ինտեգրում, որը ծրագիրը չունի։ Ավելի նոր հաճախորդի տարբերակը ևս պարտադիր չէ, որ ավելացնի այն, որովհետև ունակությունը պատկանում է ճակատային մասի սեփական ձևավորմանը։

Երբ տեղական բանալին աշխատում է, սերվերը դեռ ստուգում է վկայականի ինքնությունը, շղթան և լիազորությունը։ Օգտագործելի տեղական բանալին և ընդունված VPN ինքնությունը առանձին արդյունքներ են, և դրանք առանձին պահելն է, ինչը թույլ չի տալիս ճակատային մասի սահմանափակումը վերածվել թուլացած վկայականային քաղաքականության։